Objet de la norme ISO 27001:2022 Annexe A 5.23
ISO 27001: 2022 Annexe A 5.23 est un nouveau contrôle qui décrit les processus requis pour l'acquisition, l'utilisation, la gestion et la sortie des services cloud, en relation avec les exigences uniques de sécurité des informations de l'organisation.
L'Annexe A Contrôle 5.23 permet aux organisations de spécifier d'abord, puis de gérer et d'administrer concepts de sécurité de l'information en ce qui concerne les services cloud, en leur qualité de « client de services cloud ».
L'Annexe A 5.23 est un contrôle préventif qui maintient le risque en précisant politiques et procédures qui régissent la sécurité de l’information, dans le domaine des services cloud commerciaux.
La norme ISO 27001 simplifiée
Une avance de 81 % dès le premier jour
Nous avons fait le plus gros du travail pour vous, en vous offrant une avance de 81 % dès votre connexion. Il ne vous reste plus qu'à remplir les champs.
Propriété de l'annexe A 5.23
Telle est la prolifération des services cloud au cours de la dernière décennie, ISO 27001 2022 L'Annexe A Contrôle 5.23 contient une multitude de procédures qui englobent de nombreux éléments distincts du fonctionnement d'une organisation.
Étant donné que tous les services cloud ne sont pas spécifiques aux TIC – bien que l'on puisse raisonnablement affirmer que la plupart le sont – la propriété du contrôle 5.23 de l'Annexe A devrait être répartie entre les CTO or COO, en fonction des circonstances opérationnelles du moment.
Guide sur la norme ISO 27001:2022, Annexe A, Contrôle 5.23 – Obligations organisationnelles
La conformité au contrôle 5.23 implique le respect de ce que l'on appelle un approche « thématique » aux services cloud et à la sécurité des informations.
Compte tenu de la variété des services cloud proposés, les approches thématiques encouragent les organisations à créer des politiques de services cloud adaptées aux fonctions commerciales individuelles, plutôt que d'adhérer à une politique globale qui s'applique à sécurité de l'information et services cloud à tous les niveaux.
Il convient de noter que l'ISO considère le respect de l'Annexe A Contrôle 5.23 comme un effort de collaboration entre l'organisation et son partenaire de services cloud. Le contrôle 5.23 de l'annexe A doit également être étroitement aligné sur les contrôles 5.21 et 5.22, qui traitent respectivement de la gestion de l'information dans la chaîne d'approvisionnement et de la gestion des services des fournisseurs.
Quelle que soit la manière dont une organisation choisit de fonctionner, le contrôle 5.23 de l’Annexe A ne doit pas être pris isolément et doit compléter les efforts existants pour gérer les relations avec les fournisseurs.
Avec la sécurité des informations au premier plan, l'organisation doit définir :
- Toute exigence ou préoccupation de sécurité pertinente liée à l'utilisation d'une plateforme cloud.
- Les critères impliqués dans la sélection d'un fournisseur de services cloud et la manière dont ses services doivent être utilisés.
- Description granulaire des rôles et des responsabilités pertinentes qui régissent la manière dont les services cloud doivent être utilisés dans l'ensemble de l'organisation.
- Précisément quels domaines de sécurité des informations sont contrôlés par le fournisseur de services cloud et ceux qui relèvent de la compétence de l'organisation elle-même.
- Les meilleures façons de rassembler d'abord, puis d'utiliser tous les composants de service liés à la sécurité des informations fournis par la plate-forme de services cloud.
- Comment obtenir des assurances catégoriques sur tout contrôle lié à la sécurité des informations mis en place par le fournisseur de services cloud.
- Les étapes à suivre pour gérer les changements, la communication et les contrôles sur plusieurs plates-formes cloud distinctes, et pas toujours auprès du même fournisseur.
- Gestion des incidents procédures qui concernent uniquement la fourniture de services cloud.
- Comment l'organisation compte gérer son utilisation continue et/ou son adoption massive des plateformes cloud, conformément à ses obligations plus larges en matière de sécurité des informations.
- Une stratégie pour l'arrêt ou la modification des services cloud, soit sur une base fournisseur par fournisseur, soit via le processus de migration du cloud vers le sur site.
Libérez-vous d'une montagne de feuilles de calcul
Intégrez, développez et faites évoluer votre conformité, sans complications. IO vous offre la résilience et la confiance nécessaires pour croître en toute sécurité.
Conseils sur l'Annexe A Contrôle 5.23 – Contrats de services cloud
L'Annexe A Contrôle 5.23 reconnaît que, contrairement aux autres relations avec les fournisseurs, les contrats de services cloud sont des documents rigides qui ne sont pas modifiables dans la grande majorité des cas.
Dans cette optique, les organisations doivent examiner attentivement les contrats de services cloud et s’assurer que quatre exigences opérationnelles principales sont respectées :
- Confidentialité.
- Sécurité/intégrité des données.
- Disponibilité du service.
- Traitement des informations.
Comme pour les autres contrats de fournisseurs, avant leur acceptation, les contrats de services cloud doivent faire l'objet d'une évaluation approfondie des risques qui met en évidence les problèmes potentiels à la source.
Au strict minimum, l'organisation ne doit conclure un accord de services cloud que lorsqu'elle est convaincue que les 10 dispositions suivantes ont été respectées :
- Les services cloud sont fournis et mis en œuvre en fonction des exigences uniques de l'organisation liées à leur domaine d'activité, y compris les normes et pratiques acceptées par l'industrie pour l'architecture basée sur le cloud et l'infrastructure hébergée.
- L'accès à toutes les plates-formes cloud répond aux exigences de sécurité des informations frontalières de l'organisation.
- Une attention particulière est accordée aux services antimalware et antivirus, y compris une surveillance proactive et une protection contre les menaces.
- Le fournisseur de cloud adhère à un ensemble prédéfini de stipulations de stockage et de traitement des données, liées à une ou plusieurs régions mondiales et environnements réglementaires distincts.
- Une assistance proactive est fournie à l'organisation en cas de panne catastrophique ou d'incident lié à la sécurité des informations.
- S'il s'avère nécessaire de sous-traiter ou d'externaliser un élément de la plateforme cloud, les exigences du fournisseur en matière de sécurité des informations restent une considération constante.
- Si l'organisation a besoin d'aide pour rassembler des informations numériques à des fins pertinentes (application de la loi, alignement réglementaire, objectifs commerciaux), le fournisseur de services cloud soutiendra l'organisation dans la mesure du possible.
- À la fin de la relation, le fournisseur de services cloud doit fournir une assistance raisonnable et une disponibilité appropriée pendant la période de transition ou de mise hors service.
- Le fournisseur de services cloud doit fonctionner avec un plan BUDR robuste axé sur la réalisation de sauvegardes adéquates des données de l'organisation.
- Le transfert de toutes les données supplémentaires pertinentes du fournisseur de services cloud à l'organisation, y compris les informations de configuration et le code sur lesquels l'organisation a droit.
Informations supplémentaires sur le contrôle 5.23 de l'Annexe A
En plus des orientations ci-dessus, l'Annexe A Contrôle 5.23 suggère que les organisations établissent une relation de travail étroite avec les fournisseurs de services cloud, conformément au service important qu'ils fournissent non seulement en termes de sécurité de l'information, mais dans l'ensemble des opérations commerciales d'une organisation.
Dans la mesure du possible, les organisations doivent rechercher les stipulations suivantes auprès des fournisseurs de services cloud pour améliorer la résilience opérationnelle et bénéficier de niveaux améliorés de sécurité des informations :
- Toutes les modifications de l'infrastructure doivent être communiquées à l'avance, afin d'éclairer l'ensemble de normes de sécurité de l'information de l'organisation.
- L'organisation doit être tenue informée de toute modification apportée aux procédures de stockage des données qui impliquent la migration des données vers une autre juridiction ou région du monde.
- Toute intention de la part du fournisseur de services cloud d'utiliser des fournisseurs de « cloud homologues » ou d'externaliser certaines zones de ses opérations à des sous-traitants, ce qui peut avoir des implications en matière de sécurité des informations pour l'organisation.
Prise en charge des contrôles de l’Annexe A
- ISO 27001:2022 Annexe A 5.21
- ISO 27001:2022 Annexe A 5.22
Gérez toute votre conformité, en un seul endroit
ISMS.online prend en charge plus de 100 normes et réglementations, vous offrant une plate-forme unique pour tous vos besoins de conformité.
Quels sont les changements et les différences par rapport à la norme ISO 27001:2013 ?
L'Annexe A Le contrôle 5.23 est un nouveau contrôle cela ne figure pas dans la norme ISO 27001:2013 à quelque titre que ce soit.
Tableau de tous les contrôles ISO 27001:2022 Annexe A
Dans le tableau ci-dessous, vous trouverez plus d'informations sur chaque contrôle individuel ISO 27001:2022 Annexe A.
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles organisationnels | Annexe A 5.1 |
Annexe A 5.1.1 Annexe A 5.1.2 |
Politiques de sécurité des informations |
| Contrôles organisationnels | Annexe A 5.2 | Annexe A 6.1.1 | Rôles et responsabilités en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.3 | Annexe A 6.1.2 | Séparation des tâches |
| Contrôles organisationnels | Annexe A 5.4 | Annexe A 7.2.1 | Responsabilités de la direction |
| Contrôles organisationnels | Annexe A 5.5 | Annexe A 6.1.3 | Contact avec les autorités |
| Contrôles organisationnels | Annexe A 5.6 | Annexe A 6.1.4 | Contact avec des groupes d'intérêt spécial |
| Contrôles organisationnels | Annexe A 5.7 | NOUVEAU | Renseignement sur les menaces |
| Contrôles organisationnels | Annexe A 5.8 |
Annexe A 6.1.5 Annexe A 14.1.1 |
Sécurité de l'information dans la gestion de projet |
| Contrôles organisationnels | Annexe A 5.9 |
Annexe A 8.1.1 Annexe A 8.1.2 |
Inventaire des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.10 |
Annexe A 8.1.3 Annexe A 8.2.3 |
Utilisation acceptable des informations et autres actifs associés |
| Contrôles organisationnels | Annexe A 5.11 | Annexe A 8.1.4 | Restitution des actifs |
| Contrôles organisationnels | Annexe A 5.12 | Annexe A 8.2.1 | Classification des informations |
| Contrôles organisationnels | Annexe A 5.13 | Annexe A 8.2.2 | Étiquetage des informations |
| Contrôles organisationnels | Annexe A 5.14 |
Annexe A 13.2.1 Annexe A 13.2.2 Annexe A 13.2.3 |
Transfert d'information |
| Contrôles organisationnels | Annexe A 5.15 |
Annexe A 9.1.1 Annexe A 9.1.2 |
Contrôle d'Accès |
| Contrôles organisationnels | Annexe A 5.16 | Annexe A 9.2.1 | Gestion d'identité |
| Contrôles organisationnels | Annexe A 5.17 |
Annexe A 9.2.4 Annexe A 9.3.1 Annexe A 9.4.3 |
Informations d'authentification |
| Contrôles organisationnels | Annexe A 5.18 |
Annexe A 9.2.2 Annexe A 9.2.5 Annexe A 9.2.6 |
Des droits d'accès |
| Contrôles organisationnels | Annexe A 5.19 | Annexe A 15.1.1 | Sécurité de l'information dans les relations avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.20 | Annexe A 15.1.2 | Aborder la sécurité des informations dans les accords avec les fournisseurs |
| Contrôles organisationnels | Annexe A 5.21 | Annexe A 15.1.3 | Gestion de la sécurité de l'information dans la chaîne d'approvisionnement des TIC |
| Contrôles organisationnels | Annexe A 5.22 |
Annexe A 15.2.1 Annexe A 15.2.2 |
Surveillance, révision et gestion du changement des services des fournisseurs |
| Contrôles organisationnels | Annexe A 5.23 | NOUVEAU | Sécurité des informations pour l'utilisation des services cloud |
| Contrôles organisationnels | Annexe A 5.24 | Annexe A 16.1.1 | Planification et préparation de la gestion des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.25 | Annexe A 16.1.4 | Évaluation et décision sur les événements liés à la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.26 | Annexe A 16.1.5 | Réponse aux incidents de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.27 | Annexe A 16.1.6 | Tirer les leçons des incidents de sécurité de l’information |
| Contrôles organisationnels | Annexe A 5.28 | Annexe A 16.1.7 | Collecte de preuves |
| Contrôles organisationnels | Annexe A 5.29 |
Annexe A 17.1.1 Annexe A 17.1.2 Annexe A 17.1.3 |
Sécurité des informations en cas de perturbation |
| Contrôles organisationnels | Annexe A 5.30 | NOUVEAU | Préparation aux TIC pour la continuité des activités |
| Contrôles organisationnels | Annexe A 5.31 |
Annexe A 18.1.1 Annexe A 18.1.5 |
Exigences légales, statutaires, réglementaires et contractuelles |
| Contrôles organisationnels | Annexe A 5.32 | Annexe A 18.1.2 | Droits de Propriété Intellectuelle |
| Contrôles organisationnels | Annexe A 5.33 | Annexe A 18.1.3 | Protection des dossiers |
| Contrôles organisationnels | Annexe A 5.34 | Annexe A 18.1.4 | Confidentialité et protection des informations personnelles |
| Contrôles organisationnels | Annexe A 5.35 | Annexe A 18.2.1 | Examen indépendant de la sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.36 |
Annexe A 18.2.2 Annexe A 18.2.3 |
Conformité aux politiques, règles et normes en matière de sécurité de l'information |
| Contrôles organisationnels | Annexe A 5.37 | Annexe A 12.1.1 | Procédures opérationnelles documentées |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles des personnes | Annexe A 6.1 | Annexe A 7.1.1 | Présélection |
| Contrôles des personnes | Annexe A 6.2 | Annexe A 7.1.2 | Conditions d'emploi |
| Contrôles des personnes | Annexe A 6.3 | Annexe A 7.2.2 | Sensibilisation, éducation et formation à la sécurité de l’information |
| Contrôles des personnes | Annexe A 6.4 | Annexe A 7.2.3 | Processus disciplinaire |
| Contrôles des personnes | Annexe A 6.5 | Annexe A 7.3.1 | Responsabilités après la cessation ou le changement d'emploi |
| Contrôles des personnes | Annexe A 6.6 | Annexe A 13.2.4 | Accords de confidentialité ou de non-divulgation |
| Contrôles des personnes | Annexe A 6.7 | Annexe A 6.2.2 | Travail à distance |
| Contrôles des personnes | Annexe A 6.8 |
Annexe A 16.1.2 Annexe A 16.1.3 |
Rapport d'événements liés à la sécurité de l'information |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles physiques | Annexe A 7.1 | Annexe A 11.1.1 | Périmètres de sécurité physique |
| Contrôles physiques | Annexe A 7.2 |
Annexe A 11.1.2 Annexe A 11.1.6 |
Entrée physique |
| Contrôles physiques | Annexe A 7.3 | Annexe A 11.1.3 | Sécuriser les bureaux, les chambres et les installations |
| Contrôles physiques | Annexe A 7.4 | NOUVEAU | Surveillance de la sécurité physique |
| Contrôles physiques | Annexe A 7.5 | Annexe A 11.1.4 | Se protéger contre les menaces physiques et environnementales |
| Contrôles physiques | Annexe A 7.6 | Annexe A 11.1.5 | Travailler dans des zones sécurisées |
| Contrôles physiques | Annexe A 7.7 | Annexe A 11.2.9 | Bureau clair et écran clair |
| Contrôles physiques | Annexe A 7.8 | Annexe A 11.2.1 | Emplacement et protection des équipements |
| Contrôles physiques | Annexe A 7.9 | Annexe A 11.2.6 | Sécurité des actifs hors site |
| Contrôles physiques | Annexe A 7.10 |
Annexe A 8.3.1 Annexe A 8.3.2 Annexe A 8.3.3 Annexe A 11.2.5 |
stockage des médias |
| Contrôles physiques | Annexe A 7.11 | Annexe A 11.2.2 | Utilitaires de support |
| Contrôles physiques | Annexe A 7.12 | Annexe A 11.2.3 | Sécurité du câblage |
| Contrôles physiques | Annexe A 7.13 | Annexe A 11.2.4 | Entretien de l'équipement |
| Contrôles physiques | Annexe A 7.14 | Annexe A 11.2.7 | Élimination ou réutilisation sécurisée de l’équipement |
| Annexe A Type de contrôle | Identifiant ISO/IEC 27001:2022 Annexe A | Identifiant ISO/IEC 27001:2013 Annexe A | Annexe A Nom |
|---|---|---|---|
| Contrôles technologiques | Annexe A 8.1 |
Annexe A 6.2.1 Annexe A 11.2.8 |
Périphériques de point de terminaison utilisateur |
| Contrôles technologiques | Annexe A 8.2 | Annexe A 9.2.3 | Droits d'accès privilégiés |
| Contrôles technologiques | Annexe A 8.3 | Annexe A 9.4.1 | Restriction d'accès aux informations |
| Contrôles technologiques | Annexe A 8.4 | Annexe A 9.4.5 | Accès au code source |
| Contrôles technologiques | Annexe A 8.5 | Annexe A 9.4.2 | Authentification sécurisée |
| Contrôles technologiques | Annexe A 8.6 | Annexe A 12.1.3 | Gestion de la capacité |
| Contrôles technologiques | Annexe A 8.7 | Annexe A 12.2.1 | Protection contre les logiciels malveillants |
| Contrôles technologiques | Annexe A 8.8 |
Annexe A 12.6.1 Annexe A 18.2.3 |
Gestion des vulnérabilités techniques |
| Contrôles technologiques | Annexe A 8.9 | NOUVEAU | Configuration Management |
| Contrôles technologiques | Annexe A 8.10 | NOUVEAU | Suppression des informations |
| Contrôles technologiques | Annexe A 8.11 | NOUVEAU | Masquage des données |
| Contrôles technologiques | Annexe A 8.12 | NOUVEAU | Prévention des fuites de données |
| Contrôles technologiques | Annexe A 8.13 | Annexe A 12.3.1 | Sauvegarde des informations |
| Contrôles technologiques | Annexe A 8.14 | Annexe A 17.2.1 | Redondance des installations de traitement de l'information |
| Contrôles technologiques | Annexe A 8.15 |
Annexe A 12.4.1 Annexe A 12.4.2 Annexe A 12.4.3 |
Journal |
| Contrôles technologiques | Annexe A 8.16 | NOUVEAU | Activités de surveillance |
| Contrôles technologiques | Annexe A 8.17 | Annexe A 12.4.4 | Synchronisation d'horloge |
| Contrôles technologiques | Annexe A 8.18 | Annexe A 9.4.4 | Utilisation des programmes utilitaires privilégiésDroits d'accès |
| Contrôles technologiques | Annexe A 8.19 |
Annexe A 12.5.1 Annexe A 12.6.2 |
Installation de logiciels sur les systèmes opérationnels |
| Contrôles technologiques | Annexe A 8.20 | Annexe A 13.1.1 | Sécurité des réseaux |
| Contrôles technologiques | Annexe A 8.21 | Annexe A 13.1.2 | Sécurité des services réseau |
| Contrôles technologiques | Annexe A 8.22 | Annexe A 13.1.3 | Ségrégation des réseaux |
| Contrôles technologiques | Annexe A 8.23 | NOUVEAU | filtrage web |
| Contrôles technologiques | Annexe A 8.24 |
Annexe A 10.1.1 Annexe A 10.1.2 |
Utilisation de la cryptographie |
| Contrôles technologiques | Annexe A 8.25 | Annexe A 14.2.1 | Cycle de vie du développement sécurisé |
| Contrôles technologiques | Annexe A 8.26 |
Annexe A 14.1.2 Annexe A 14.1.3 |
Exigences de sécurité des applications |
| Contrôles technologiques | Annexe A 8.27 | Annexe A 14.2.5 | Principes d'architecture et d'ingénierie des systèmes sécurisés : Apprendre des incidents de sécurité de l'information |
| Contrôles technologiques | Annexe A 8.28 | NOUVEAU | Codage sécurisé |
| Contrôles technologiques | Annexe A 8.29 |
Annexe A 14.2.8 Annexe A 14.2.9 |
Tests de sécurité en développement et acceptation |
| Contrôles technologiques | Annexe A 8.30 | Annexe A 14.2.7 | Développement externalisé |
| Contrôles technologiques | Annexe A 8.31 |
Annexe A 12.1.4 Annexe A 14.2.6 |
Séparation des environnements de développement, de test et de production |
| Contrôles technologiques | Annexe A 8.32 |
Annexe A 12.1.2 Annexe A 14.2.2 Annexe A 14.2.3 Annexe A 14.2.4 |
La Gestion du changement |
| Contrôles technologiques | Annexe A 8.33 | Annexe A 14.3.1 | Informations sur les tests |
| Contrôles technologiques | Annexe A 8.34 | Annexe A 12.7.1 | Protection des systèmes d'information lors des tests d'audit |
[case_study_slider ids=”88859,101932,92016″ autoplay=”true” autoplay_speed=”5000″]
Comment ISMS.online vous aide
ISMS.online rationalise le processus de mise en œuvre de la norme ISO 27001 en fournissant un cadre sophistiqué basé sur le cloud pour documenter les procédures et les listes de contrôle du système de gestion de la sécurité de l'information afin de garantir la conformité aux normes reconnues.
Lorsque vous utilisez ISMS.online, vous pourrez :
- Créez un SMSI compatible avec les normes ISO 27001.
- Effectuer des tâches et soumettre une preuve indiquant qu'elles répondent aux exigences de la norme.
- Attribuez des tâches et suivez les progrès vers la conformité à la loi.
- Accédez à une équipe de conseillers spécialisés qui vous accompagneront tout au long de votre cheminement vers la conformité.
Contactez-nous et réserver une démo.
